Bejelentkezés nélkül engedhet kódfuttatást egy kritikus GitLab-hiba
A GitLab 7.0-s kiadásáig, 2014 közepéig nyúlik vissza az a sebezhetőség, amely bizonyos feltételek mellett bejelentkezés nélkül engedhet idegen kódot futtatni a szerveren. A Community és Enterprise kiadásokat érintő hibához már elérhetők a javítások; a gyártó a saját üzemeltetésű példányok mielőbbi frissítését kéri.
A legsúlyosabb besorolást kapta, de aktív kihasználásról nincs jelzés
A CVE-2026-110264 azonosítójú sebezhetőség CVSS-értéke 10,0, vagyis a műszaki súlyosságot jelző skála legmagasabb pontszámát kapta. Ez a besorolás önmagában nem jelenti azt, hogy támadók már visszaélnek vele. A beszámoló szerint egyelőre nem látszik aktív kihasználásra utaló jel.
A hiba bizonyos körülmények között lehetővé teheti, hogy egy nem hitelesített felhasználó tetszőleges kódot futtasson a sérülékeny GitLab-szerveren. A problémát Johan Carlsson kutató fedezte fel és jelentette; korábban is számos hibát jelzett a GitLab számára.
A sérülékenység a Community Edition és az Enterprise Edition, röviden CE és EE kiadásokat egyaránt érinti. A veszélyeztetett verziók sora a 7.0-val kezdődik, az egyes ágakban pedig az alábbi javított kiadások előttiek tartoznak ide.
Régebbi verzióágakhoz is készült javítás
A GitLab a sebezhetőség súlyossága miatt kivételesen korábbi ágakhoz is elkészítette a javítást. Hivatalosan már csak a 19.3, 19.4 és 19.5 verzióág támogatott.
| Verzióág | Javított kiadás |
|---|---|
| 18.11 | 18.11.13 |
| 19.0 | 19.0.10 |
| 19.1 | 19.1.9 |
| 19.2 | 19.2.9 |
| 19.3 | 19.3.6 |
| 19.4 | 19.4.3 |
| 19.5 | 19.5.1 |
A gyártó magas sürgősséggel, „a lehető leghamarabb” javasolja a sérülékeny példányok frissítését. A figyelmeztetés különösen a saját üzemeltetésű rendszerekre vonatkozik. Idén más GitLab-sebezhetőségekkel már visszaéltek szerverek elleni támadásokban, de ez nem a most ismertetett hiba kihasználását jelenti.
A GitLab.com és a Dedicated védelméről az üzemeltető gondoskodik
A GitLab.com és a GitLab Dedicated esetében maga a szolgáltató végzi az érintett rendszerek biztonságossá tételét.
A még támogatott verzióágakhoz kiadott csomagok a kritikus hibán túl további tizenegy sebezhetőséget is javítanak. Ezek közül kettő magas, öt közepes, négy pedig alacsony súlyosságú besorolást kapott.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum